1. 増大する脅威 2

Transcription

1 IT セキュリティ評価 認証制度の 整備と今後の運用 2001 年 3 月 16 日 経済産業省商務情報政策局 情報セキュリティ政策室 1

2 1. 増大する脅威 2

3 サイバー空間における新たな脅威 ( イメージ ) PC サーバーサーバー PC ルーター インターネット ルーター インターネットは通信経路を誰も管理していない 人 ハード / ソフト 通信経路 ハード / ソフト 人 発信者 利用者による虚偽や不正ハード / ソフトのバグや障害情報漏洩等 盗聴 / 改竄なりしまし情報窃取等 機密性に対する懸念完全性に対する懸念可用性に対する懸念 受信者 従来の電話 /FAX コンピュータ間通信では 回線が占有され 通信の質 秘密 規律について 電気通信事業者が責任を負うが インターネットでは 安全性は誰も保証しない そのため 盗聴 不正侵入 なりすまし 改竄 サービス妨害 システム破壊 その他 ( 事後否認 踏み台等 ) の新しい脅威への対応が不可欠 3

4 不正アクセス / ウィルス届出件数 不正アクセス届出先 ~ 平成 9 年 10 年 11 年 12 年合計 JPCERT/CC , ,448 IPA 合計 ,375 4,719 コンピュータウィルス (IPA 届出数 ) 注 1 件数には 不正アクセス関連行為 ( ポートスキャン等 ) を含む 2 JPCERT/CC: コンピュータ緊急対応センター ( 民間組織 ) IPA: 情報処理振興事業協会 平成 9 年 2,391 件 10 年 2,035 件 11 年 3,645 件 12 年 11,109 件 4

5 米国 CERT/CC 発表件数 参照 5 参照

6 クルマのクオリティとドライビングの問題 マネーシ メント 国際的に信頼される情報システムマネージメント (ISO/IEC17799 など ) セキュリティ 交通ルールもマナーも整備中だけど だからこそ 情報技術 国際的に信頼されるクオリティ評価 (ISO/IEC15408) 暗号技術 技術評価に基づくセキュアな暗号利用 6

7 2. セキュリティ評価基準及び 評価 認証体制の概要 7

8 セキュリティ評価システムの概要 情報システムの個々の製品 システム等のセキュリティ機能を定義 / 共通化し 個別製品等におけるセキュリティ要件を定め その機能を保証レベルを設け 客観的に評価し その評価が適正な方法であることを認証 欧米諸国やロシアでは 十年程前から 軍事上の観点等から 自国のセキュリティ評価 認証制度を運用 米国 :TCSEC( オレンジブック 制度名 TPEP 現在までに 100 以上の製品 システム )(1983 ) 1983~) Federal Criteria( ~) 英独仏蘭 :ITSEC : ITSEC( 現在までに 200 以上の製品 )( ~) カナダの CTCPEC( ~) 新しい承認アレンジメントの合意 (2000 年 5 月従来の合意を改訂 ) 米英仏独加 オーストラリア ニュージーランド ギリシャ イタリア オランダ ノルウェー スペイン スウェーデンは セキュリティ評価結果の相互承認に関する覚え書きに署名 セキュリティ評価基準が ISO/IEC として国際規格化 (99 年 12 月 ) 内容的に米英仏独加蘭の 6 カ国が策定を進めてきた コモン クライテリア と同一 評価手法手法統一の取り組みも進行 8

9 セキュリティ評価基準とは 1. セキュリティに関する設計条件を設定 要求仕様書(Protection Profile) の作成カテゴリごとに一般的なリスクを踏まえたセキュリティ設計書 ( 例 OS ICカード データベース等の種類毎に作成 ) 設計仕様書(Security Target) の作成 ( 個別製品毎に設計仕様書を作成し その妥当性を評価 ) 2. 製品が設計どおりに作成されていることを確認 開発環境 開発方法 テスト方法 マニュアルの執筆 保守方法 脆弱性分析等を確認 確認のレベルは7 段階 3. セキュリティレベルの評価認証制度の国際的な枠組み 認証書について 国際的な覚え書きに基づく相互の承認制度 9

10 /認証登録 ISO15408 セキュリティ評価基準 ( 用語の定義 ) 脅威分析セキュリティ対策方針セキュリティ要件機能仕様 / 品質対策 セキュリティ機能要件 ( どのような機能を具えるか ) 監査 暗号 通信 利用者データ保護 識別 / 認証 セキュリティ管理 プライバシー 信頼通信路等 セキュリティ保証要件 ( どの程度の品質チェックをするか ) 構成管理 配布と運用 開発 ガイダンス文書 ライフサイクル 保守保証レベルを EAL1~ EAL7 で規定 セキュリティ評価認証システムの概要 プロテクション プロファイル (PP) ( 誰でも開発可 ) ファイアウォールデータベースメーラー等毎に作成 個別製品の設計仕様書 (ST) CC に基づいた製品のセキュリティ設計書 開発者 製品開発 10 評価

11 セキュリティ評価済み製品例 ( 出典 :IPA) 現在 区分 製品名 サプライヤ TCSEC ITSEC CC OS Windows NT4.0 SP3 Windows NT4.0 SP6a HPUX Solaris 2.51SE Trusted Solaris 1.2 OS 1100/2200 Release SB4R7 AS/400 with OS/400 V2R3M0 Microsoft Microsoft Hewlett Packard Sun Microsystems Sun Microsystems Unisys IBM C2 B1 C2 E3 E3 E2 E3 DBM S Oracle7 Release Trusted Oracle7, INFORMIXOnLine/Secure5.0 Secure SQL Server v Oracle Oracle Informix Software Sybase B1 B1 B1 E3 E3 E3 EAL4 Networ k Cisco PIX Firewall 520, v4.3 Check Point Firewall1 v4 Gauntlet Firewall v3.01 Novell Trusted Netware 4.11 Cisco Systems Check Point Software Network Associates Novell C2 E3 E3 E2 EAL2 他 MONDEX Purse R2 on MULTOS v3 Trusted EDI SenTry 2020 Mondex International EDS MIS Europe E6 E3 EAL1 11

12 合計合計合計合計 認証中認証中認証中認証中 合計合計合計合計 ( 年 ) CC ITSEC TCSEC 現在現在現在現在欧米でのセキュリティ認証件数 ( 出典 :IPA)

13 3. 国内の体制整備 13

14 セキュリティ評価に関するこれまでの取組み Stage ISO/IEC JTC1 SC 27 WG3 における検討への対応セキュリティ機能要件の検討 (JEIDA) 2000 Stage2 IPA にコモン クライテリア タスク フォース (CCTF) を設置 (1998 年 5 月 ) セキュリティ評価技術の研究 (JEIDA) セキュリティ評価技術の開発 セキュリティ要件解説書 ST 作成 / 脆弱性分析 / 評価用各ガイド 支援ツール ISO/IEC の JIS 化 (2000 年 7 月 ) Stage3 セキュリティ評価 認証制度に関する調査 (IPA) 評価技術者研修 IPA の開発事業製品の評価検収 14

15 考え方 平成 15 年度の電子政府構築に向けて セキュアな電子政府を構築することは喫緊の課題 ミレニアム プロジェクト ハッカー対策等の基盤整備に係る行動計画 客観的な評価を受けた信頼できるIT 製品を調達するというプラクティスを導入することが必要 欧米先進国においては 98 年共通の基準としてコモンクライテリアを合意 ISO/IEC15408 として国際規格化 我が国においても同様のスキームを導入することは 我が国の政府の情報システムの国際的な信頼性の確保に不可欠 そのため ISO/IEC15408 に基づき 先進国と同様の評価認証スキームで IT 製品の第三者評価 認証を実施することとし セキュアな政府の情報システムの構築に貢献 今後の国際的なネットワークのインターオペラビリティの確保及び我が国製品の国際的な市場競争力の確保の観点から 参加国との協議を進め 2003 年度までに CC アレンジメントへの参加を目指す 15

16 平成 13 年度からの ISO/IEC15408 評価 認証体制 経済産業省 セキュリティ評価認証の具体的事業を製品評価技術基盤機構に委託 認証プログラム独立行政法人製品評価技術基盤機構 評価結果の認証 評価機関の承認 技術指導及び監督 評価 認証ルール 制度の維持 ISO/IEC Guide 65 技術指導 監督 評価報告 個別製品毎に認証認証書 認証依頼及び評価結果 審査 認定認定プログラム 民間評価機関 メーカ ベンダ ユーザから依頼された製品やシステムのセキュリティ評価試験を実施 評価結果 評価依頼 メーカ ベンダ 製品の評価 認証依頼 ( 製品 製品情報 資料類の提出 ) 製品のセキュリティ品質向上 作り込み ISO/IEC

17 ISO/IEC15408 活用イメージ 認証された個別製品を導入する場合 システムとして評価又は認証している場合 FW サーバソフトウエア FW サーバソフトウエア 端末ソフトウエア 端末ソフトウエア ISO/IEC15408 認証済みの個別製品を活用することによって キーとなる製品のセキュリティを確保 ISO/IEC/15408 評価 認証取得 システム全体として ISO/IEC15408 の評価又は認証を取得し 設定や利用環境も含めたセキュリティを確保 ( 個別製品が認証済みかどうかは不問 ) ST の範囲については 重要度に応じて決定 (FW 周辺部分 サーバー類 またはシステム全体 ) 最終的には 製品 / システム両方において ISO/IEC15408 の認証を取得することが理想 17

18 ISO/IEC15408 スキームの今後のスケジュール 制度発足認定プログラム認証プログラム立ち上げ 評価機関発足 ( 認定された評価機関の発足 ) パイロットプロジェクト 本格的な運用開始への準備 運用開始 国際的な相互承認スキームへの参加 18